Beschwerden gegen X wegen ungefragter Datennutzung für KI-Training
veröffentlicht am 27.08.2024
X, vormals Twitter, sammelt ungefragt Daten zum Training des eigenen KI-Sprachmodells. Das ist nach der europäischen Datenschutzgrundverordnung nicht zulässig. Noyb hat daher Beschwerden bei Datenschutzbehörden in acht EU Mitgliedstaaten eingebracht.
X, vormals Twitter, hat damit begonnen, die personenbezogenen Daten von mehr als 60 Millionen Nutzer:innen im europäischen Wirtschaftsraum zu verwenden, um die KI-Technologie seines Sprachmodells Grok zu trainieren. Elon Musk hat dafür ein eigenes KI-Start-up namens xAI gegründet.
Das Problem: X hat nicht die Zustimmung seiner Nutzer:innen eingeholt.
Im Unterschied zu Meta (Facebook), dessen Versuch seine KI mit Daten seiner europäischen Nutzer:innen zu trainieren , vorerst gescheitert ist, hat X seine Nutzer:innen im Voraus nicht einmal informiert.
Meta stoppt KI-Pläne in der EU (noyb.eu)
X, ähnlich wie Meta, rechtfertigt seine Vorgehensweise damit, dass es ein "berechtigtes Interesse" habe, das die Grundrechte der Nutzer:innen überwiege und eine Einholung der Zustimmung daher nicht erforderlich sei. Dieser Ansatz wurde bereits vom Europäischen Gerichtshof in einem Fall zurückgewiesen, in dem es um die Verwendung personenbezogener Daten für gezielte Werbung durch Meta ging. Wir haben darüber berichtet: Mehr Datenschutz bei Meta (vormals Facebook) (konsumentenfragen.at)
Max Schrems kritisiert die irische Datenschutzbehörde
Die Klage der irischen Datenschutzkommission hat in dieser Sache zu einer vorläufigen Einigung mit X dahingehend geführt, dass weitere Trainings des Algorithmus mit EU-Daten bis September 2024 vorerst auszusetzen ist. Das geht Max Schrems, Vorsitzender der Datenschutz-NGO Noyb, zu wenig weit: weder wurde eine Entscheidung über die Rechtmäßigkeit des Vorgehens von X getroffen, noch, was mit den Daten zu geschehen hat, die bereits in die Systeme eingegeben wurden.
Antrag auf Dringlichkeitsverfahren
Großangelegte Verstöße gegen die Datenschutzgrundverordnung können ein Dringlichkeitsverfahren rechtfertigen. Angesichts der Tatsache, dass X bereits damit begonnen hat, die Daten von Personen für seine KI-Technologie zu verarbeiten, und dass es im Grunde keine Möglichkeit gibt, die aufgenommenen Daten zu entfernen, beantragte Noyb ein Dringlichkeitsverfahren. Die Datenschutzbehörden in acht europäischen Ländern (Österreich, Belgien, Frankreich, Griechenland, Irland, Italien, Niederlande, Spanien) erhielten einen solchen Antrag im Namen der betroffenen Personen.
Die DSGVO regelt das Dringlichkeitsverfahren, welches betroffene Aufsichtsbehörden in seltenen Ausnahmefällen zum Erlass von sofortigen einstweiligen Maßnahmen ermächtigt. Ob die Datenschutzbehörden davon Gebrauch machen werden und damit die Entscheidung der irischen Datenschutzbehörde „overrulen“, bleibt abzuwarten.